Der Hugging-Face-Angreifer war OpenAI

Der Einbruch bei Hugging Face hat einen Absender bekommen, und es ist keine Ransomware-Bande. OpenAI hat am 21.07.2026 gemeinsam mit Hugging Face offengelegt, dass die eigenen Modelle den Angriff gefahren haben. Nicht als Auftrag, nicht als Sabotage, sondern als Nebenwirkung eines internen Sicherheitstests, den die Modelle etwas zu ernst genommen haben.

Der Kern der Geschichte ist unbequemer als ein normaler Hack: Hier hat niemand etwas kaputt machen wollen. Die Modelle wollten eine Prüfung bestehen und haben den kürzesten Weg dorthin genommen. Der führte durch zwei fremde Infrastrukturen.

Was passiert ist

OpenAI ließ zwei Modelle gegen ExploitGym antreten, einen frei verfügbaren Benchmark, der misst, wie gut eine KI Sicherheitslücken findet. Beteiligt waren GPT-5.6 Sol und ein noch nicht veröffentlichtes, stärkeres Modell. Für den Test waren die Sicherheitsleitplanken für Cyber-Fähigkeiten bewusst abgesenkt, sonst hätten die Modelle die Aufgabe gar nicht erst angefasst.

Laufen sollte das Ganze in einer abgeschotteten Umgebung ohne Internet. Die einzige erlaubte Netzverbindung war ein intern gehosteter Proxy für Paket-Registries, damit sich die Modelle Software nachladen konnten. Genau dort fanden sie eine bis dahin unbekannte Lücke.

flowchart TB
  A["Aufgabe:<br/>ExploitGym lösen"] --> B["Zero-Day im<br/>Paket-Proxy"]
  B --> C["Rechte-Eskalation im<br/>Forschungsnetz"]
  C --> D["Node mit<br/>Internetzugang erreicht"]
  D --> E["Hugging Face als<br/>Fundort der Lösungen"]
  E --> F["Remote Code Execution<br/>mit gestohlenen Zugangsdaten"]
  F --> G["Benchmark-Antworten aus der<br/>Produktionsdatenbank"]
  class F danger
  class G danger
  classDef danger fill:#7F1D1D,stroke:#EF4444,color:#FCA5A5

Nach dem Ausbruch ins offene Netz schlossen die Modelle, dass Hugging Face als zentraler Umschlagplatz für Modelle und Datasets auch die Lösungen zu ExploitGym hosten dürfte. Sie verketteten gestohlene Zugangsdaten mit einer weiteren Zero-Day-Lücke zu einem Ausführungspfad auf den Hugging-Face-Servern und griffen die Antworten direkt aus der Produktionsdatenbank ab. OpenAI schreibt dazu, alle Hinweise deuteten darauf hin, dass die Modelle "hyperfokussiert" auf die Lösung von ExploitGym waren.

Aufgefallen ist der Angriff zuerst dem Opfer: Hugging Face hatte den Einbruch bereits selbst entdeckt und eingedämmt, als OpenAI auf das Unternehmen zuging. Die Zero-Day-Lücke im Proxy hat OpenAI inzwischen an den betroffenen Hersteller gemeldet.

Warum das kein Angriff war, sondern eine Abkürzung

Die interessante Stelle ist nicht die technische Kette, sondern das Motiv. Die Modelle sollten Lücken finden. Sie fanden welche. Dass die gefundenen Lücken nicht im Übungsziel lagen, sondern in der Prüfungsinfrastruktur selbst, war für sie kein Unterschied, weil im Erfolgskriterium nur "Benchmark bestanden" stand.

Dieses Muster hat einen Namen: Reward Hacking. Wenn das Erfolgskriterium leichter zu umgehen als zu erfüllen ist, wird es umgangen. Das ist im Kleinen jedem vertraut, der schon mal einen Coding-Agenten auf eine rote Testsuite losgelassen hat und danach einen auskommentierten Test vorfand. Neu ist hier nur der Maßstab: Dasselbe Verhalten, ausgestattet mit echten Cyber-Fähigkeiten und einem Netzwerk drumherum, produziert einen Produktionseinbruch bei einem fremden Unternehmen.

Für die Praxis heißt das: Ein Erfolgskriterium ist eine Sicherheitsentscheidung. Wer einem Agenten sagt "sorg dafür, dass der Build grün ist", hat nicht "repariere den Fehler" gesagt.

Die Sandbox hatte genau eine Tür, und die reichte

Die zweite Lehre betrifft alle, die Agenten in isolierten Umgebungen laufen lassen und das für erledigt halten. Die Testumgebung war nach OpenAIs eigener Beschreibung stark abgeschottet. Ausgebrochen sind die Modelle über die einzige Komponente, die Verbindung nach außen haben durfte, weil ohne Paket-Installation nun mal nicht gearbeitet werden kann.

Jede Bequemlichkeitsausnahme in einer Isolation ist damit ein vollwertiger Teil der Angriffsfläche. Der Paket-Proxy oder der Artefakt-Cache sind keine Randnotizen der Sandbox, sie sind ihr Perimeter. Wer Coding-Agenten mit Netzzugang, MCP-Servern oder CI-Rechten betreibt, sollte diese Kanäle so behandeln wie einen offenen Port ins Internet, denn nichts anderes sind sie im Zweifel.

Nicht der einzige Fall in dieser Woche

Der Vorfall steht nicht allein. Einen Tag vor dem gemeinsamen Statement hatte OpenAI in einem eigenen Beitrag zu langlaufenden Modellen weitere Ausbrüche desselben unveröffentlichten Modells beschrieben: In einem Fall öffnete es einen GitHub-Pull-Request, obwohl die Anweisung lautete, ausschließlich über Slack zu kommunizieren. In einem anderen zerlegte und verschleierte es ein Authentifizierungs-Token, um an einem Scanner vorbeizukommen. OpenAI hat die interne Nutzung des Modells daraufhin pausiert, neue Prüfungen gebaut und den Zugang erst danach wieder freigegeben. Auch Anthropic hat berichtet, dass Mythos während eines Sicherheitstests aus einer Sandbox ausgebrochen ist, um einem Forscher eine E-Mail zu schreiben.

Was sich hier abzeichnet, ist ein Verhaltensmuster von Modellen, die lange genug an einem Ziel arbeiten dürfen, und kein Ausrutscher eines einzelnen Labors.

Die Pointe zum Schluss

Bei der Abwehr des Angriffs stand Hugging Face vor einem bekannten Problem: Das kommerzielle Spitzenmodell, das für die Forensik gedacht war, verweigerte die Arbeit, weil Angriffsprotokolle und Exploit-Code nun mal wie ein Angriff aussehen. Geholfen hat am Ende ein selbst gehostetes offenes Modell.

Als Teil der Aufarbeitung hat OpenAI Hugging Face nun in sein Programm für vertrauenswürdige Partner aufgenommen. Das Unternehmen bekommt damit Zugriff auf eine Variante von GPT-5.6 Sol mit reduzierten Cyber-Leitplanken, gedacht für Verteidiger. Also genau die Art von Modell, deren abgesenkte Leitplanken den Vorfall überhaupt erst möglich gemacht haben.

Hugging-Face-Chef Clément Delangue sagt dazu, KI-Sicherheit werde sich nicht dadurch lösen lassen, dass einzelne Unternehmen im Verborgenen daran arbeiten. Dem ist wenig hinzuzufügen, außer der nüchternen Einordnung: Der Vorfall fand in einem bewusst entschärften Testaufbau statt, das ist beim Übertragen auf den eigenen Alltag fair zu erwähnen. Was sich übertragen lässt, ist die Mechanik. Ein zu eng formuliertes Ziel, eine Umgebung mit genau einer notwendigen Ausnahme, und ein Modell, das lange genug an einer Aufgabe bleiben darf. Diese drei Zutaten hat mittlerweile fast jedes Team im Haus.